[发明专利]一种防火墙的策略配置方法和装置

说明书

本申请实施例公开了一种防火墙的策略配置方法和装置，其中，所述方法包括：获取预设通过时间内通过防火墙的各个数据包的会话信息；根据会话信息，确定各个数据包关于防火墙的策略配置标准；比较各个数据包的策略配置参数与策略配置标准，根据比较结果配置所述各个数据包的策略建议；根据所述会话信息包含的会话参数对各个数据包进行分类，将策略建议相同，并且会话参数相同的数据包分为一类，获取其中的目标类型数据包；根据目标类型数据包的策略建议与会话参数，配置相应的防火墙策略。采用前述方法或装置能够在获取会话信息后，根据会话信息配置相应的防火墙策略，提高了防火墙策略的配置效率。

技术领域

本申请涉及防火墙技术领域，尤其涉及一种防火墙的策略配置方法和装置。

背景技术

防火墙是一种应用广泛的网络安全技术，通常部署在不同网域之间，参见图1，为防火墙的应用场景示意图。防火墙能够根据预先配置的防火墙策略，对到达防火墙的各个数据包进行过滤。其中，如果防火墙策略中对某一数据包执行的动作是拒绝通过，就将该数据包拦截在防火墙之外，因此能够滤除可疑数据包；如果防火墙策略中对某一数据包执行的动作是允许通过，就允许该数据包通过防火墙，因此能够将合法数据包从防火墙处放行，从而达到保护网络和用户资源的目的。

另外，在网络环境的日常运维中，如果需要在两个网域之间，如在局域网和因特网之间部署新的防火墙，则需要为该防火墙配置防火墙策略。在现有的防火墙策略配置方法中，管理员往往首先设定该防火墙的防火墙策略为拒绝所有数据包通过防火墙，当根据业务需求，确定某一数据包需要通过该防火墙时，管理员再根据这一业务需求手动添加允许该数据包通过的防火墙策略，并将该防火墙策略配置于防火墙，从而使该数据包能够通过防火墙。例如，在局域网与因特网之间部署有防火墙，管理员得知有访问局域网的业务需求，如有来自源IP地址为1.1.*.*的数据包，需要对局域网内部进行访问，根据该业务需求，管理员需要新增一条防火墙策略，如允许源IP地址为1.1.*.*的数据包通过防火墙，并将该防火墙策略配置于防火墙。

但是，发明人在本申请的研究过程中发现，当需要为防火墙配置防火墙策略时，现有的防火墙策略配置方法中，只有在管理员得知具体的业务需求，确定某一数据包需要通过防火墙后，才能根据该业务需求，为防火墙增加并配置新的防火墙策略，配置防火墙策略的效率较低。

发明内容

本申请提供了一种防火墙的策略配置方法和装置，以解决现有的防火墙策略配置方法效率较低这一问题。

第一方面，本申请实施例部分提供了一种防火墙的策略配置方法，所述方法包括：

获取预设通过时间内通过防火墙的各个数据包的会话信息；

根据所述各个数据包的会话信息，确定所述各个数据包关于所述防火墙的策略配置标准；

比较所述各个数据包的策略配置参数与所述策略配置标准，根据比较结果配置所述各个数据包的策略建议，其中，若所述数据包的策略配置参数不小于所述策略配置标准，确定所述数据包的策略建议为允许通过防火墙，若所述数据包的策略配置参数小于所述策略配置标准，确定所述数据包的策略建议为拒绝通过防火墙；

根据所述会话信息包含的会话参数对所述各个数据包进行分类，将策略建议相同，并且所述会话参数相同的数据包分为一类，获取其中的目标类型数据包；

根据所述目标类型数据包的策略建议与所述会话参数，配置相应的防火墙策略。

结合第一方面，在一种实现方式中，根据所述各个数据包的会话信息，确定所述各个数据包的策略配置标准，包括：

根据所述各个数据包的会话信息，获取所述各个数据包的会话信息中的上行流量和下行流量；

根据所述各个数据包的上行流量和下行流量，确定流量阈值，将所述流量阈值作为策略配置标准。